Хакери створили нове шкідливе програмне забезпечення GodLoader, що використовує можливості широко розповсюдженого ігрового рушія Godot. Вони знайшли спосіб приховати зловмисний софт від виявлення антивірусом та заразити понад 17 000 систем за три місяці. Розробники Godot запевняють, що цей експлойт працює не лише на їхньому рушії.
Хакери створили нове шкідливе програмне забезпечення GodLoader, що використовує можливості широко розповсюдженого ігрового рушія Godot. Вони знайшли спосіб приховати зловмисний софт від виявлення антивірусом та заразити понад 17 000 систем за три місяці. Розробники Godot запевняють, що цей експлойт працює не лише на їхньому рушії.
Як повідомляє Bleeping Computer з посиланням на Check Point Research, зловмисники можуть використовувати GodLoader для атаки геймерів на всіх основних платформах, включаючи Windows, macOS, Linux, Android та iOS.
Він також експлуатує гнучкість рушія Godot і можливості мови сценаріїв GDScript для виконання довільного коду й обходу систем виявлення, використовуючи .pck-файли ігрового рушія, які упаковують ігрові ресурси, для вбудовування шкідливих скриптів.
Після завантаження зловмисники запускають шкідливий код на уражених пристроях, що дає змогу хакерам викрадати облікові дані або завантажувати додаткове корисне навантаження, зокрема майнер XMRig. Конфігурація цього шкідливого софту для майнінгу була розміщена в приватному файлі Pastebin, завантаженому в травні, який за час кампанії відвідали 206 913 разів.
«Щонайменше з 29 червня 2024 року кіберзлочинці використовують Godot Engine для виконання підробленого коду GDScript, який запускає шкідливі команди та доставляє шкідливе програмне забезпечення. Ця технологія залишається невиявленою більшістю антивірусних інструментів на VirusTotal, що, можливо, призвело до зараження понад 17 000 машин всього за кілька місяців», — повідомляє Check Point.
За словами дослідників, у Godot є активна та зростальна спільнота розробників, які цінують його відкритий вихідний код і потужні можливості. Понад 2700 розробників зробили свій внесок в ігровий рушій Godot, а «на таких платформах, як Discord, YouTube й інших соціальних мережах, рушій Godot має близько 80 000 підписників, які стежать за останніми новинами».
Зловмисники розповсюджували шкідливе програмне забезпечення GodLoader через Stargazers Ghost Network — мережу доставлення шкідливого програмного забезпечення як послуги (DaaS), яка маскує свою діяльність, використовуючи, на перший погляд, легітимні репозиторії GitHub.
У період із вересня до жовтня 2024 року вони використовували понад 200 репозиторіїв, контрольованих більш ніж 225 акаунтами Stargazer Ghost, для розгортання шкідливого програмного забезпечення в системах жертв, експлуатуючи довіру потенційних жертв до платформ із відкритим вихідним кодом і, здавалося б, легальних сховищ програмного забезпечення.
Протягом кампанії Check Point зафіксував чотири окремі хвилі атак на розробників і геймерів у період із 12 вересня до 3 жовтня, які спокушали їх завантажити інфіковані інструменти й ігри.
Хоча дослідники безпеки виявили лише зразки GodLoader, націлені на системи Windows, вони також розробили код експлойту GDScript, який демонструє, наскільки легко шкідливе програмне забезпечення може бути адаптоване для атак на системи Linux і macOS.
У Godot прокоментували дослідження Check Point і заявили, що знайдена вразливість не є специфічною для їхнього рушія. За словами розробника Godot і члена команди безпеки Ремі Вершельде (Rémi Verschelde), Godot Engine — це система програмування зі скриптовою мовою. Вона схожа, наприклад, на середовища виконання Python і Ruby.
«Будь-якою мовою програмування можна написати шкідливі програми. Ми не вважаємо, що Godot є більш чи менш придатною для цього, ніж інші подібні програми. Користувачі, які просто встановили гру або редактор Godot у своїй системі, не наражаються на особливий ризик. Ми заохочуємо людей запускати програмне забезпечення лише з перевірених джерел», — заявив він.
У Godot пояснили, що рушій не реєструє файловий обробник для файлів «.pck». Це означає, що зловмисник завжди повинен постачати середовище виконання Godot разом із файлом .pck. Користувачеві завжди доведеться розпаковувати середовище виконання разом із файлом .pck у те саме місце, а потім запускати середовище виконання.
Хакер не може створити «експлойт в один клік», якщо не враховувати інші вразливості на рівні операційної системи. Якби така вразливість на рівні ОС була використана, то Godot не був би особливо привабливим варіантом через розмір часу виконання.
«Це схоже на написання шкідливого програмного забезпечення на Python або Ruby: зловмиснику доведеться постачати python.exe або ruby.exe разом зі своєю шкідливою програмою», — пояснили в Godot.
